1. 为什么需要修改VNC的默认端口VNCVirtual Network Computing作为一款经典的远程桌面协议其默认端口5900或5900NN为显示编号几乎是所有系统管理员和开发者的常识。这个端口号就像一扇众所周知的“后门”虽然方便了连接但也带来了不小的安全隐患。在公网或非完全受控的内网环境中使用默认端口无异于在门口挂了个“欢迎光临”的牌子会吸引大量自动化扫描工具的“光顾”。我遇到过不止一次刚部署好的测试服务器还没来得及配置防火墙日志里就出现了大量来自全球各地的、针对5900端口的连接尝试。虽然VNC本身有密码保护但弱密码、默认密码或者某些版本的历史漏洞都可能成为攻击的突破口。因此修改默认端口号是提升VNC服务安全性的第一道、也是最简单有效的防线。这属于“安全加固”中“减少攻击面”的基本操作成本极低收益却很明显。除了安全因素端口冲突也是一个常见原因。在一些开发或测试环境中可能同时运行着多个VNC服务实例或者有其他应用程序占用了5900-5910这个端口段。将VNC端口修改到一个高位端口如15900能有效避免这类冲突让服务运行更稳定。2. VNC端口修改的核心原理与影响范围在动手修改之前我们需要理解VNC服务端口绑定的工作机制。这有助于我们在修改后能准确地进行连接测试和问题排查。2.1 VNC服务端口的绑定机制大多数Linux发行版上我们常用的VNC服务器是TigerVNC、TightVNC或内置的vinoGNOME桌面。它们的工作原理类似VNC服务器作为一个守护进程运行监听特定的TCP端口。默认情况下第一个桌面通常为:1监听5901端口59001第二个桌面:2监听5902端口以此类推。客户端连接时需要指定服务器IP地址和这个端口号。修改端口号本质上就是修改VNC服务器配置文件或启动参数让其监听一个新的、非默认的TCP端口。例如将:1桌面的监听端口从5901改为15901。2.2 修改所影响的组件一次成功的端口修改会影响到以下几个环节任何一个环节配置不当都会导致连接失败VNC服务器进程它必须被正确配置为在新端口上启动并监听。系统防火墙如firewalld, iptables, ufw必须放行新的端口如15901同时可以考虑禁止旧的默认端口5900-5910。客户端连接工具连接时输入的端口号必须从默认的5901改为新的15901。可能的服务管理配置如果你使用systemd来管理VNC服务那么systemd的service文件也需要相应更新。理解了这个链条我们在接下来的步骤中就会有的放矢知道每一步是在配置哪个环节。3. 基于systemd服务的TigerVNC端口修改实战这里我以最常用的TigerVNC Server配合systemd服务管理为例展示最规范、最一劳永逸的修改方法。这种方法适用于CentOS/RHEL 7、Ubuntu 18.04等主流现代Linux发行版。3.1 定位并修改VNC服务配置文件首先我们需要找到VNC的service文件。通常当我们通过yum或apt安装TigerVNC并设置服务后会生成一个类似vncserver.service的模板文件。# 查找VNC相关的systemd服务文件 systemctl list-unit-files | grep vnc # 或直接查找文件 ls /etc/systemd/system/*vnc* ls /usr/lib/systemd/system/*vnc*常见的文件路径是/etc/systemd/system/vncserver.service或/usr/lib/systemd/system/vncserver.service。我们需要编辑的是/etc/systemd/system/下的副本如果不存在就从/usr/lib/下复制过来。# 假设原始文件在/usr/lib下我们复制到/etc下进行自定义 sudo cp /usr/lib/systemd/system/vncserver.service /etc/systemd/system/vncserver:1.service注意这里我直接复制并重命名为vncserver:1.service这是为显示编号:1创建一个特定的服务实例这样管理起来更清晰。现在编辑这个文件sudo vi /etc/systemd/system/vncserver:1.service找到[Service]段落中的ExecStart命令。原始的指令可能长这样ExecStart/usr/bin/vncserver %i -geometry 1280x720 -localhost no我们需要修改它添加指定端口的参数。TigerVNC Server使用-rfbport参数来指定监听端口。ExecStart/usr/bin/vncserver %i -geometry 1280x720 -localhost no -rfbport 15901关键解释-rfbport 15901强制VNC服务器更准确地说是RFB协议监听TCP端口15901。这里的15901对应的是显示编号:1。如果你想设置:2的端口为15902则应创建vncserver:2.service文件并设置-rfbport 15902。-localhost no允许非本地连接。如果你只允许本地连接可以设为yes但这样修改端口的意义就不大了。3.2 重载systemd配置并重启服务修改完service文件后必须让systemd重新加载配置然后重启服务。# 重新加载systemd配置 sudo systemctl daemon-reload # 停止旧的服务如果正在运行 sudo systemctl stop vncserver:1 # 禁用旧的、可能还在监听5901端口的服务实例如果有的话 sudo systemctl disable vncserver:1 # 启用并启动我们新配置的服务 sudo systemctl enable vncserver:1.service sudo systemctl start vncserver:1.service # 检查服务状态和监听端口 sudo systemctl status vncserver:1.service sudo ss -tlnp | grep 15901执行ss命令后你应该能看到类似下面的输出表明VNC服务器正在新的端口上监听LISTEN 0 5 0.0.0.0:15901 0.0.0.0:* users:((Xvnc,pidxxxx,fd7))3.3 配置防火墙放行新端口服务起来了但防火墙可能会阻止外部连接。我们需要放行新的端口。以常用的firewalld和ufw为例对于firewalld (CentOS/RHEL/Fedora):# 添加端口到永久规则并重载 sudo firewall-cmd --permanent --add-port15901/tcp sudo firewall-cmd --reload # 验证 sudo firewall-cmd --list-ports | grep 15901对于ufw (Ubuntu/Debian):sudo ufw allow 15901/tcp sudo ufw reload sudo ufw status numbered | grep 15901安全建议在放行新端口15901后强烈建议你移除对默认端口5901的放行规则进一步收紧安全策略。# firewalld sudo firewall-cmd --permanent --remove-port5901/tcp sudo firewall-cmd --reload # ufw sudo ufw delete allow 5901/tcp sudo ufw reload4. 其他常见VNC配置方式的端口修改除了标准的systemd服务方式在一些桌面环境或临时使用场景下你可能用其他方式启动VNC修改端口的方法也略有不同。4.1 直接使用vncserver命令启动时修改端口如果你习惯直接用vncserver命令启动临时会话可以在命令行中直接指定端口。但注意直接使用vncserver -rfbport可能会因为显示编号和端口映射的预期不符而报错。更稳妥的方法是先杀死旧会话然后用一个特定的显示编号启动并映射到目标端口。# 杀死所有VNC会话谨慎操作 vncserver -kill :1 # 启动一个新的会话到显示编号:10一个通常不会冲突的高位编号并强制其监听15901端口 vncserver :10 -geometry 1280x720 -localhost no -rfbport 15901这种方式下你连接时在客户端输入的端口是15901但连接的“桌面号”在服务器内部对应的是:10。这种方式有点绕且不适合做持久化服务仅适用于临时测试。4.2 GNOME桌面自带Vino服务器的端口修改对于Ubuntu GNOME桌面用户可能使用的是默认的vinoVNC服务器。修改vino的端口稍微麻烦一些因为它主要通过D-Bus和GSetting进行配置且默认集成在桌面会话中。vino本身不支持直接通过参数修改端口。一种“曲线救国”的方法是使用x11vnc来替代或者通过端口转发port forwarding来实现。例如你可以在本地启动一个x11vnc让它监听15901端口同时共享当前的GNOME桌面。# 安装x11vnc sudo apt install x11vnc # 设置VNC密码首次运行 x11vnc -storepasswd # 启动x11vnc监听所有接口的15901端口共享当前显示:0并使用已存储的密码 x11vnc -forever -noxdamage -rfbauth ~/.vnc/passwd -rfbport 15901 -shared -display :0然后配置系统服务或用户自启动项来运行这个命令。显然这比修改TigerVNC的配置要复杂。因此对于需要长期稳定使用VNC的场景我强烈推荐使用TigerVNC或TightVNC这类独立的服务器软件并通过systemd管理可控性更强。5. 客户端连接与测试验证服务端配置完成后我们必须在客户端进行验证。这里以RealVNC Viewer和TigerVNC Viewer为例。5.1 使用RealVNC Viewer连接在RealVNC Viewer的地址栏中输入格式为服务器IP地址:端口号。修改前192.168.1.100:5901或192.168.1.100:1(客户端会自动补全5900)修改后192.168.1.100:15901重要必须使用冒号:后接端口号而不是显示编号。因为服务现在监听的是15901而不是5901。如果你输入192.168.1.100:1客户端会尝试连接5901端口必然失败。5.2 使用TigerVNC Viewer (Linux/macOS) 连接在终端中使用vncviewer命令连接# 修改前 vncviewer 192.168.1.100:1 # 修改后 vncviewer 192.168.1.100:15901同样这里需要指定完整的端口号15901。5.3 连接测试与排错如果连接失败请按照以下链条逐项排查检查服务状态sudo systemctl status vncserver:1.service确保服务是active (running)状态。检查端口监听sudo ss -tlnp | grep 15901确认有进程在监听0.0.0.0:15901或[::]:15901。如果只看到127.0.0.1:15901说明启动参数可能包含了-localhost yes需要改为no。检查防火墙在服务器上尝试从另一个本地端口连接自己nc -zv 127.0.0.1 15901。如果通说明服务本身没问题。然后从客户端网络使用telnet 服务器IP 15901或nc -zv 服务器IP 15901测试端口连通性。如果不通一定是防火墙或网络策略问题。检查SELinux (仅限RHEL/CentOS)SELinux可能会阻止VNC绑定非标准端口。你可以临时将其设为宽容模式测试sudo setenforce 0。如果此时能连上说明是SELinux问题。永久解决需要为VNC服务添加对新端口的SELinux策略sudo semanage port -a -t vnc_port_t -p tcp 15901 sudo setenforce 1 # 重新启用SELinux6. 安全加固与进阶考量修改端口只是安全的第一步远非全部。结合端口修改我建议你同时完成以下几项加固措施让你的VNC访问更安全。6.1 使用强密码与独立用户永远不要使用弱密码。VNC密码虽然有一定加密但强度有限。可以考虑创建一个专用的、非登录的普通用户来运行VNC服务避免直接使用root或具有高权限的用户桌面。6.2 结合SSH隧道进行加密转发强烈推荐在公网或不可信网络中使用VNC最大的风险是RFB协议本身传输是明文的包括密码和所有屏幕操作。最安全的做法是不将VNC端口直接暴露在公网而是通过SSH隧道进行端口转发。操作原理在本地机器和VNC服务器之间建立一条加密的SSH通道将本地的某个端口如59099通过SSH隧道“映射”到服务器内部的VNC端口15901。这样所有VNC流量都在这条加密隧道中传输。具体命令 在你的本地客户端机器上执行ssh -L 59099:localhost:15901 -N -f usernameyour_vnc_server_ip-L 59099:localhost:15901建立本地端口转发。将本地的59099端口绑定到SSH连接上并通过隧道转发到远程服务器your_vnc_server_ip的localhost:15901端口。-N不执行远程命令仅用于端口转发。-f后台运行。username你在VNC服务器上的登录用户名。连接方式 执行上述命令后在你的VNC客户端中地址栏填写localhost:59099。此时连接请求会先到本地的59099端口然后通过加密的SSH隧道安全地到达服务器的15901端口。服务器防火墙甚至无需对15901端口开放公网访问只需开放SSH端口默认为22即可。6.3 使用Fail2ban防御暴力破解即使修改了端口扫描器依然可能发现它。可以配置Fail2ban来监控VNC日志通常是/var/log/messages或/home/用户名/.vnc/*.log对短时间内多次连接失败的IP地址实施临时封禁。配置Fail2ban需要编写特定的jail规则和filter规则这涉及到对日志格式的分析是一个相对进阶的操作。但一旦配置成功能极大增强对自动化攻击的防御能力。修改VNC默认端口是一个几分钟就能完成的操作但其带来的安全提升是立竿见影的。它遵循了“最小权限”和“防御深度”的安全原则。在实际操作中我强烈建议将“修改端口”与“配置SSH隧道”结合起来这是兼顾便利性与安全性的最佳实践。对于生产环境或存有敏感信息的机器直接暴露VNC端口到公网的风险极高SSH隧道几乎是必须的选项。最后别忘了在修改后进行全面测试确保服务在新的端口上稳定运行并且旧的默认端口已无法访问这才算真正完成了这次安全加固。 VNC安全加固实战：修改默认端口与SSH隧道加密配置指南
1. 为什么需要修改VNC的默认端口VNCVirtual Network Computing作为一款经典的远程桌面协议其默认端口5900或5900NN为显示编号几乎是所有系统管理员和开发者的常识。这个端口号就像一扇众所周知的“后门”虽然方便了连接但也带来了不小的安全隐患。在公网或非完全受控的内网环境中使用默认端口无异于在门口挂了个“欢迎光临”的牌子会吸引大量自动化扫描工具的“光顾”。我遇到过不止一次刚部署好的测试服务器还没来得及配置防火墙日志里就出现了大量来自全球各地的、针对5900端口的连接尝试。虽然VNC本身有密码保护但弱密码、默认密码或者某些版本的历史漏洞都可能成为攻击的突破口。因此修改默认端口号是提升VNC服务安全性的第一道、也是最简单有效的防线。这属于“安全加固”中“减少攻击面”的基本操作成本极低收益却很明显。除了安全因素端口冲突也是一个常见原因。在一些开发或测试环境中可能同时运行着多个VNC服务实例或者有其他应用程序占用了5900-5910这个端口段。将VNC端口修改到一个高位端口如15900能有效避免这类冲突让服务运行更稳定。2. VNC端口修改的核心原理与影响范围在动手修改之前我们需要理解VNC服务端口绑定的工作机制。这有助于我们在修改后能准确地进行连接测试和问题排查。2.1 VNC服务端口的绑定机制大多数Linux发行版上我们常用的VNC服务器是TigerVNC、TightVNC或内置的vinoGNOME桌面。它们的工作原理类似VNC服务器作为一个守护进程运行监听特定的TCP端口。默认情况下第一个桌面通常为:1监听5901端口59001第二个桌面:2监听5902端口以此类推。客户端连接时需要指定服务器IP地址和这个端口号。修改端口号本质上就是修改VNC服务器配置文件或启动参数让其监听一个新的、非默认的TCP端口。例如将:1桌面的监听端口从5901改为15901。2.2 修改所影响的组件一次成功的端口修改会影响到以下几个环节任何一个环节配置不当都会导致连接失败VNC服务器进程它必须被正确配置为在新端口上启动并监听。系统防火墙如firewalld, iptables, ufw必须放行新的端口如15901同时可以考虑禁止旧的默认端口5900-5910。客户端连接工具连接时输入的端口号必须从默认的5901改为新的15901。可能的服务管理配置如果你使用systemd来管理VNC服务那么systemd的service文件也需要相应更新。理解了这个链条我们在接下来的步骤中就会有的放矢知道每一步是在配置哪个环节。3. 基于systemd服务的TigerVNC端口修改实战这里我以最常用的TigerVNC Server配合systemd服务管理为例展示最规范、最一劳永逸的修改方法。这种方法适用于CentOS/RHEL 7、Ubuntu 18.04等主流现代Linux发行版。3.1 定位并修改VNC服务配置文件首先我们需要找到VNC的service文件。通常当我们通过yum或apt安装TigerVNC并设置服务后会生成一个类似vncserver.service的模板文件。# 查找VNC相关的systemd服务文件 systemctl list-unit-files | grep vnc # 或直接查找文件 ls /etc/systemd/system/*vnc* ls /usr/lib/systemd/system/*vnc*常见的文件路径是/etc/systemd/system/vncserver.service或/usr/lib/systemd/system/vncserver.service。我们需要编辑的是/etc/systemd/system/下的副本如果不存在就从/usr/lib/下复制过来。# 假设原始文件在/usr/lib下我们复制到/etc下进行自定义 sudo cp /usr/lib/systemd/system/vncserver.service /etc/systemd/system/vncserver:1.service注意这里我直接复制并重命名为vncserver:1.service这是为显示编号:1创建一个特定的服务实例这样管理起来更清晰。现在编辑这个文件sudo vi /etc/systemd/system/vncserver:1.service找到[Service]段落中的ExecStart命令。原始的指令可能长这样ExecStart/usr/bin/vncserver %i -geometry 1280x720 -localhost no我们需要修改它添加指定端口的参数。TigerVNC Server使用-rfbport参数来指定监听端口。ExecStart/usr/bin/vncserver %i -geometry 1280x720 -localhost no -rfbport 15901关键解释-rfbport 15901强制VNC服务器更准确地说是RFB协议监听TCP端口15901。这里的15901对应的是显示编号:1。如果你想设置:2的端口为15902则应创建vncserver:2.service文件并设置-rfbport 15902。-localhost no允许非本地连接。如果你只允许本地连接可以设为yes但这样修改端口的意义就不大了。3.2 重载systemd配置并重启服务修改完service文件后必须让systemd重新加载配置然后重启服务。# 重新加载systemd配置 sudo systemctl daemon-reload # 停止旧的服务如果正在运行 sudo systemctl stop vncserver:1 # 禁用旧的、可能还在监听5901端口的服务实例如果有的话 sudo systemctl disable vncserver:1 # 启用并启动我们新配置的服务 sudo systemctl enable vncserver:1.service sudo systemctl start vncserver:1.service # 检查服务状态和监听端口 sudo systemctl status vncserver:1.service sudo ss -tlnp | grep 15901执行ss命令后你应该能看到类似下面的输出表明VNC服务器正在新的端口上监听LISTEN 0 5 0.0.0.0:15901 0.0.0.0:* users:((Xvnc,pidxxxx,fd7))3.3 配置防火墙放行新端口服务起来了但防火墙可能会阻止外部连接。我们需要放行新的端口。以常用的firewalld和ufw为例对于firewalld (CentOS/RHEL/Fedora):# 添加端口到永久规则并重载 sudo firewall-cmd --permanent --add-port15901/tcp sudo firewall-cmd --reload # 验证 sudo firewall-cmd --list-ports | grep 15901对于ufw (Ubuntu/Debian):sudo ufw allow 15901/tcp sudo ufw reload sudo ufw status numbered | grep 15901安全建议在放行新端口15901后强烈建议你移除对默认端口5901的放行规则进一步收紧安全策略。# firewalld sudo firewall-cmd --permanent --remove-port5901/tcp sudo firewall-cmd --reload # ufw sudo ufw delete allow 5901/tcp sudo ufw reload4. 其他常见VNC配置方式的端口修改除了标准的systemd服务方式在一些桌面环境或临时使用场景下你可能用其他方式启动VNC修改端口的方法也略有不同。4.1 直接使用vncserver命令启动时修改端口如果你习惯直接用vncserver命令启动临时会话可以在命令行中直接指定端口。但注意直接使用vncserver -rfbport可能会因为显示编号和端口映射的预期不符而报错。更稳妥的方法是先杀死旧会话然后用一个特定的显示编号启动并映射到目标端口。# 杀死所有VNC会话谨慎操作 vncserver -kill :1 # 启动一个新的会话到显示编号:10一个通常不会冲突的高位编号并强制其监听15901端口 vncserver :10 -geometry 1280x720 -localhost no -rfbport 15901这种方式下你连接时在客户端输入的端口是15901但连接的“桌面号”在服务器内部对应的是:10。这种方式有点绕且不适合做持久化服务仅适用于临时测试。4.2 GNOME桌面自带Vino服务器的端口修改对于Ubuntu GNOME桌面用户可能使用的是默认的vinoVNC服务器。修改vino的端口稍微麻烦一些因为它主要通过D-Bus和GSetting进行配置且默认集成在桌面会话中。vino本身不支持直接通过参数修改端口。一种“曲线救国”的方法是使用x11vnc来替代或者通过端口转发port forwarding来实现。例如你可以在本地启动一个x11vnc让它监听15901端口同时共享当前的GNOME桌面。# 安装x11vnc sudo apt install x11vnc # 设置VNC密码首次运行 x11vnc -storepasswd # 启动x11vnc监听所有接口的15901端口共享当前显示:0并使用已存储的密码 x11vnc -forever -noxdamage -rfbauth ~/.vnc/passwd -rfbport 15901 -shared -display :0然后配置系统服务或用户自启动项来运行这个命令。显然这比修改TigerVNC的配置要复杂。因此对于需要长期稳定使用VNC的场景我强烈推荐使用TigerVNC或TightVNC这类独立的服务器软件并通过systemd管理可控性更强。5. 客户端连接与测试验证服务端配置完成后我们必须在客户端进行验证。这里以RealVNC Viewer和TigerVNC Viewer为例。5.1 使用RealVNC Viewer连接在RealVNC Viewer的地址栏中输入格式为服务器IP地址:端口号。修改前192.168.1.100:5901或192.168.1.100:1(客户端会自动补全5900)修改后192.168.1.100:15901重要必须使用冒号:后接端口号而不是显示编号。因为服务现在监听的是15901而不是5901。如果你输入192.168.1.100:1客户端会尝试连接5901端口必然失败。5.2 使用TigerVNC Viewer (Linux/macOS) 连接在终端中使用vncviewer命令连接# 修改前 vncviewer 192.168.1.100:1 # 修改后 vncviewer 192.168.1.100:15901同样这里需要指定完整的端口号15901。5.3 连接测试与排错如果连接失败请按照以下链条逐项排查检查服务状态sudo systemctl status vncserver:1.service确保服务是active (running)状态。检查端口监听sudo ss -tlnp | grep 15901确认有进程在监听0.0.0.0:15901或[::]:15901。如果只看到127.0.0.1:15901说明启动参数可能包含了-localhost yes需要改为no。检查防火墙在服务器上尝试从另一个本地端口连接自己nc -zv 127.0.0.1 15901。如果通说明服务本身没问题。然后从客户端网络使用telnet 服务器IP 15901或nc -zv 服务器IP 15901测试端口连通性。如果不通一定是防火墙或网络策略问题。检查SELinux (仅限RHEL/CentOS)SELinux可能会阻止VNC绑定非标准端口。你可以临时将其设为宽容模式测试sudo setenforce 0。如果此时能连上说明是SELinux问题。永久解决需要为VNC服务添加对新端口的SELinux策略sudo semanage port -a -t vnc_port_t -p tcp 15901 sudo setenforce 1 # 重新启用SELinux6. 安全加固与进阶考量修改端口只是安全的第一步远非全部。结合端口修改我建议你同时完成以下几项加固措施让你的VNC访问更安全。6.1 使用强密码与独立用户永远不要使用弱密码。VNC密码虽然有一定加密但强度有限。可以考虑创建一个专用的、非登录的普通用户来运行VNC服务避免直接使用root或具有高权限的用户桌面。6.2 结合SSH隧道进行加密转发强烈推荐在公网或不可信网络中使用VNC最大的风险是RFB协议本身传输是明文的包括密码和所有屏幕操作。最安全的做法是不将VNC端口直接暴露在公网而是通过SSH隧道进行端口转发。操作原理在本地机器和VNC服务器之间建立一条加密的SSH通道将本地的某个端口如59099通过SSH隧道“映射”到服务器内部的VNC端口15901。这样所有VNC流量都在这条加密隧道中传输。具体命令 在你的本地客户端机器上执行ssh -L 59099:localhost:15901 -N -f usernameyour_vnc_server_ip-L 59099:localhost:15901建立本地端口转发。将本地的59099端口绑定到SSH连接上并通过隧道转发到远程服务器your_vnc_server_ip的localhost:15901端口。-N不执行远程命令仅用于端口转发。-f后台运行。username你在VNC服务器上的登录用户名。连接方式 执行上述命令后在你的VNC客户端中地址栏填写localhost:59099。此时连接请求会先到本地的59099端口然后通过加密的SSH隧道安全地到达服务器的15901端口。服务器防火墙甚至无需对15901端口开放公网访问只需开放SSH端口默认为22即可。6.3 使用Fail2ban防御暴力破解即使修改了端口扫描器依然可能发现它。可以配置Fail2ban来监控VNC日志通常是/var/log/messages或/home/用户名/.vnc/*.log对短时间内多次连接失败的IP地址实施临时封禁。配置Fail2ban需要编写特定的jail规则和filter规则这涉及到对日志格式的分析是一个相对进阶的操作。但一旦配置成功能极大增强对自动化攻击的防御能力。修改VNC默认端口是一个几分钟就能完成的操作但其带来的安全提升是立竿见影的。它遵循了“最小权限”和“防御深度”的安全原则。在实际操作中我强烈建议将“修改端口”与“配置SSH隧道”结合起来这是兼顾便利性与安全性的最佳实践。对于生产环境或存有敏感信息的机器直接暴露VNC端口到公网的风险极高SSH隧道几乎是必须的选项。最后别忘了在修改后进行全面测试确保服务在新的端口上稳定运行并且旧的默认端口已无法访问这才算真正完成了这次安全加固。